CVE-2026-27179: MajorDoMo: injeção de SQL não autenticada no módulo Commands
A CVE-2026-27179 é uma injeção de SQL não autenticada no módulo commands do MajorDoMo, uma plataforma de automação residencial, com nota 9.8 no NVD. As fontes descrevem um parâmetro controlado pelo usuário chegando a várias consultas SQL sem sanitização, o que pode permitir a extração de credenciais e acesso administrativo. Não há exploração confirmada nas fontes consultadas, e o registro não informa versões afetadas ou corrigidas.
Visão geral
A CVE-2026-27179 afeta o módulo commands do MajorDoMo, também conhecido como Major Domestic Module. Segundo o registro, a entrada fornecida pelo usuário chega a várias consultas SQL sem sanitização ou consultas parametrizadas, e o módulo pode ser acessado sem autenticação. A classificação CWE é a CWE-89 (injeção de SQL).
Impacto
- A fonte descreve a injeção de SQL cega baseada em tempo como explorável.
- Como os hashes de senha de administrador são descritos como MD5 sem salt armazenados na tabela users, as fontes indicam que uma exploração bem-sucedida pode levar à extração de credenciais e ao acesso ao painel administrativo.
- O NVD atribui pontuação base CVSS de 9.8 (crítica). A VulnCheck lista pontuações de 8.8 e 8.2 em suas próprias avaliações.
Produtos e versões afetadas
- O registro lista os produtos como "Mjdm Majordomo" e "Sergejey MajorDoMo".
- O registro informa que as versões não são especificadas pela fonte. Não é possível confirmar uma faixa de versões afetadas com os dados disponíveis.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro.
- O campo de exploração do SSVC está registrado como none, e a probabilidade EPSS é 0.007 (cerca de 0,7 por cento).
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Algumas páginas referenciadas estão marcadas como relacionadas a exploits; esta análise não reproduz nenhum material de exploração.
Correção e mitigação
- Verifique o projeto do fornecedor e a referência de rastreamento de issues upstream para o status de uma correção. O registro não identifica uma versão corrigida.
- Até que uma correção verificada seja aplicada, reduza a exposição: restrinja o acesso à interface web do MajorDoMo a redes confiáveis e evite expô-la diretamente à internet.
- Troque as credenciais de administrador após a revisão e exija senhas fortes e únicas. Dado o armazenamento em MD5 descrito nas fontes, um hash de senha mais robusto é recomendável.
- Consulte o aviso da VulnCheck para orientações independentes do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao módulo commands, especialmente de origens desconhecidas e em alta frequência.
- Monitore logins administrativos inesperados, novas contas administrativas ou alterações nos registros de usuários.
- Observe anomalias de latência no banco de dados ou consultas de longa duração que possam indicar sondagens baseadas em tempo.
Limitações das informações disponíveis
- O registro não especifica versões afetadas ou corrigidas, portanto a exposição não pode ser determinada por versão.
- A lista de correções está vazia. Isso significa que o registro não contém informação de correção, não que correção inexista.
- O registro EPSS contém uma data que deve ser verificada na fonte antes de ser usada.
- O status de exploração reflete apenas as fontes consultadas.
Perguntas frequentes
A CVE-2026-27179 está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Quais versões do MajorDoMo são afetadas?
O registro não especifica versões afetadas, portanto a exposição não pode ser determinada por versão com os dados disponíveis.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.